BERLIN / LONDON (IT BOLTWISE) – Salesforce verlangt ab dem 1. Juli 2026, dass Administratoren ihre Konten per Passkey nach FIDO2-Standard oder biometrischen Verfahren absichern. Ab dem 20. Juli betrifft die Umstellung dann auch alle Nutzer, während TOTP für die Belegschaft zunächst weiter erlaubt bleibt. Parallel treibt Google den Schutz gegen Fake-Anrufe in Android durch KI-basierte Erkennung und verifizierte Bestätigungen voran. Damit verlagert sich das Sicherheitsfokus in Unternehmen spürbar von passwortbasierten Workflows hin zu phishing-resistenter Identitätstechnik.
Salesforce setzt ein deutliches Signal für den nächsten Schritt in der Unternehmensabsicherung: Ab dem 1. Juli 2026 müssen Administratoren Passkeys nach dem FIDO2-Standard nutzen oder alternativ biometrische Verfahren einsetzen. Hintergrund ist weniger eine neue einzelne Angriffstechnik als vielmehr der anhaltende Druck durch Social Engineering und Identitätsdiebstahl. In der Praxis führen kompromittierte Zugangsdaten weiterhin zu einer Vielzahl von Sicherheitsvorfällen, weil sie technische Kontrollen umgehen, etwa wenn Angreifer MFA-Mechanismen überrollen oder Nutzer beim Einloggen in betrügerische Workflows lenken. Für IT-Leitungen ist das deshalb auch ein Projekt mit organisatorischen Konsequenzen, nicht nur ein Wechsel im Login-Dialog.
Technisch berührt die Passkey-Pflicht mehrere Ebenen: Passkeys sind an Geräte und Nutzerbindung gekoppelt und werden typischerweise über WebAuthn/FIDO2 umgesetzt. Dadurch fällt ein großer Teil des klassischen Passwort-Ökosystems weg, das in Phishing-Ketten so wirkungsvoll ist, weil Eingaben direkt übernommen werden können. Salesforce knüpft die Umstellung zuerst an Administratoren, um die „sicherste“ Brücke vom bestehenden Identitätsmodell zur neuen Authentifizierung zu schaffen. Auffällig ist zudem die Übergangslogik: Für die Belegschaft bleibt zeitbasierter Einmalzugang (TOTP) vorerst erlaubt. Das reduziert den Migrationsdruck, birgt aber das Risiko, dass Angreifer weiter „weichere“ Pfade suchen, solange Passkeys nicht flächendeckend dominieren.
Parallel steigt die Wettbewerbsdynamik auf der Endgeräte- und Kommunikationsseite. Google hat für Android ein Sicherheitsupdate mit einer Funktion zur Erkennung gefälschter Anrufe eingeführt, die manipulierter Anrufer-ID (Spoofing) begegnen soll. Dafür werden verifizierte Bestätigungen über den RCS-Standard ausgetauscht; wenn die Zuordnung aus Sicht des Systems nicht verlässlich ist, erscheint eine Warnung. Noch konsequenter ist die integrierte Erkennung von KI-generierten Stimmen in der Telefon-App, die vor allem gegen Schockanrufe wirken soll, bei denen Stimmen von Angehörigen imitiert werden. Solche Endpunktsignale ergänzen Passkeys, weil sie die Angriffsfläche im „Vorraum“ reduzieren, bevor ein Nutzer überhaupt einen Login-Flow anstößt.
Der Markt konvergiert damit in zwei Richtungen: Phishing-resistente Identität und bessere Erkennung von social-Engineering-Auslösern. Wie Branchenbeobachter berichten, werden insbesondere Messenger- und Telefonkanäle für Betrugsversuche genutzt, weil sie mit geringem technologischem Aufwand hohe Interaktionsraten erzeugen. Eine Studie, die für Deutschland besonders hohe Verluste durch Messenger-Betrug nennt, zeigt zudem, wie schnell Geldtransferanweisungen ausgelöst werden können: Ein relevanter Anteil der Betroffenen überweist bereits innerhalb kurzer Zeit nach dem ersten Kontakt. Solche Muster sprechen dafür, dass reine Awareness-Kampagnen nicht ausreichen. Der Profi-Ansatz im Sicherheitsmanagement besteht darin, technische Kontrollen so zu gestalten, dass sie auch unter Zeitdruck und emotionaler Manipulation funktionieren.
Vergleicht man die Salesforce-Entscheidung mit anderen Sicherheitsprogrammen der letzten Jahre, wird die Richtung klar: In frühen Passkey-Piloten standen häufig einzelne Use Cases im Vordergrund, etwa „device-bound“ Anmeldung für privilegierte Konten. Später kam die Erkenntnis hinzu, dass Administratorrechte ein besonders attraktiver Hebel sind, weil sie die Angreifer näher an Konfiguration, APIs und Rollenmanagement bringen. Addiert man das zu der beobachteten Entwicklung bei KI-gestützten Angriffen, verschärft sich das Timing-Problem: Angreifer automatisieren Rekrutierung, Scouting und Übernahme. CrowdStrike wird in dem Kontext mit einer deutlichen Steigerung KI-gestützter Angriffe zitiert; unabhängig von der exakten Zahl zeigt das vor allem, wie schnell sich Taktiken in die Breite verlagern. Für Unternehmen bedeutet das, dass Migrationspläne mit klaren Meilensteinen und Messgrößen („adoption“, „fallback usage“, „success rate“) notwendig sind.
Auch die „Angriffskette“ wird zunehmend arbeitsteilig. Berichte von Mandiant beschreiben Vishing (Voice-Phishing) als weiterhin relevanten Infektionsweg, oft direkt nach klassischen Lücken als zweithäufiges Muster. Gleichzeitig werden Zugriffe in Teilsekunden an nachgelagerte Ransomware-Gruppen übergeben; das verschlechtert die Chance, Vorfälle im Anlauf zu stoppen. In europäischen Netzen bleiben Angreifer zudem im Schnitt länger unentdeckt, was dafür spricht, dass Erkennung und Incident Response nicht nur „event-basiert“, sondern auch datenbasiert (z. B. Telemetrie-Korrelation) funktionieren müssen. Passkeys alleine lösen das nicht, aber sie reduzieren die Wahrscheinlichkeit, dass ein kompromittiertes Benutzerkonto den weiteren Lateral-Movement-Plan zuverlässig unterstützt.
Für regulatorische und Datenschutz-Aspekte ist die Umstellung ambivalent, aber tendenziell positiv: Passkeys nutzen lokale Schlüsselmaterialien und verringern die Weitergabe von geheimen Authentifikatoren, die ansonsten in Logs, Browser-Speichern oder in der Benutzerinteraktion landen können. Dennoch müssen Unternehmen sauber prüfen, wie Identitätsdaten, Geräteinformationen und biometrische Metadaten verarbeitet werden, insbesondere im Zusammenspiel mit Cloud-Providern und HR-nahem Rollenmanagement. Salesforce macht dabei die betriebliche Steuerung zentral: Administratoren als „High-Impact“-Gruppe werden zuerst adressiert, was auch aus Compliance-Sicht plausibel ist, weil es den Risikohub begrenzt. Wichtig ist, dass Sicherheitsabteilungen die Übergangsphase mit TOTP aktiv überwachen und die Ausnahmen begrenzen, statt sie in eine Dauerlösung zu verwandeln.
Zum Ausblick: Der nächste Wettbewerbsvorteil liegt nicht allein in neuen Authentifizierungsmechanismen, sondern in der Kombination aus Endpunkt-Erkennung, Account-Absicherung und Prozesshärtung. Wenn Google Warnsignale bei Fake Calls liefert und Salesforce Login-Abläufe phishing-resistenter gestaltet, wird „Multi-Layer Security“ wieder konkreter im Alltag der Mitarbeiter. Gleichzeitig werden Beratungs- und Integrationsleistungen für Identity-Access-Management (IAM) nachziehen: Rollout-Strategien, Geräte-Policies, Self-Service-Recovery und Support-Prozesse müssen in der Praxis funktionieren, sonst blockieren sie Adoption. Unternehmen sollten deshalb schon jetzt die Passkey-Reife bewerten, etwa durch Pilotgruppen, Migrationsmetriken und klare Kriterien, wann TOTP noch erlaubt ist und wann Passkeys verpflichtend bleiben. In den kommenden Quartalen ist zu erwarten, dass sich der Standard weiter durchsetzt und Anbieter zunehmend auch mobile Kommunikationspfade stärker in ihre Sicherheitsarchitektur einbinden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Salesforce macht Passkeys für Administratoren ab 1. Juli verpflichtend" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Salesforce macht Passkeys für Administratoren ab 1. Juli verpflichtend" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Salesforce macht Passkeys für Administratoren ab 1. Juli verpflichtend« bei Google Deutschland suchen, bei Bing oder Google News!